Telur stofnunin ámælisvert að grunnskólinn hafi ekki tryggt viðeigandi öryggi upplýsinganna líkt og áskilið er í persónuverndarlögum. Skólinn er ekki nafngreindur í úrskurðinum.
Að sögn stjórnenda við skólann var meðal annars óskað eftir áliti fagráðs eineltismála hjá Menntamálastofnun í tengslum við málið. Í kjölfarið hafi skólinn unnið að aðgerðaáætlun í málinu varðandi þrjá nemendur, þar með talið barn þeirra foreldra sem kvörtuðu til Persónuverndar.
Skólinn segir að aðgerðaáætlunin, sem innihélt viðkvæmar upplýsingar um greiningu barns kvartenda, hafi fyrir mistök verið send í viðhengi með tölvupósti til foreldra hinna tveggja barnanna sem áætlunin tók til.
Láðist að útbúa ólík skjöl
Haft er eftir stjórnendum í úrskurði Persónuverndar að láðst hafi að útbúa þrjú mismunandi eintök, eitt fyrir hvern aðila, þar sem upplýsingar um önnur börn væru afmáð. Í stað þess hefði sama skjalið verið sent á foreldra allra þriggja barnanna sem komu að málinu.
„Í svörum skólans kemur fram að um leið og atvikið hafi uppgötvast hafi tölvupósturinn verið afturkallaður og rétt skjal sent. Haft hafi verið samband við viðtakendur póstsins og þeir staðfest að hafa ekki lesið tölvupóstinn og að þeir myndu eyða honum ef afturköllun gengi ekki eftir. Því næst hafi málið verið tilkynnt til Persónuverndar sem öryggisbrestur,“ segir í úrskurðinum. Einnig hafi foreldrar barnsins verið upplýstir um málið og beðnir afsökunar af skólanum og sveitarfélaginu.
Að sögn skólastjórnenda höfðu viðtakendur verið viðloðandi meint eineltismál frá því að það kom fyrst upp og eðli málsins samkvæmt haft upplýsingar um efni málsins áður en tölvupósturinn var sendur.
Persónuvernd telur að ekki hafi verið heimild til miðlunar grunnskólans á persónuupplýsingum um barn kvartenda með þessum hætti. Breyti þar engu þótt viðtakendur tölvupóstsins kunni að hafa haft vitneskju um innihald skjalsins að einhverju leyti, líkt og skólinn hafi haldið fram. Persónuvernd sé ekki í aðstöðu til að sannreyna slíkt.
Þá telur stofnunin að skólinn hafi ekki tryggt viðeigandi öryggi upplýsinganna líkt og áskilið sé í persónuverndarlögum og reglugerð framkvæmdastjórnar Evrópusambandsins. Persónuvernd taldi ekki ástæðu til þess að sekta skólann vegna brotanna.
